{"id":780,"date":"2023-10-10T12:03:08","date_gmt":"2023-10-10T10:03:08","guid":{"rendered":"https:\/\/www.tippex.net\/?p=780"},"modified":"2023-10-19T12:18:54","modified_gmt":"2023-10-19T10:18:54","slug":"server-absichern-mit-fail2ban","status":"publish","type":"post","link":"https:\/\/www.tippex.net\/?p=780","title":{"rendered":"Server absichern mit Fail2ban"},"content":{"rendered":"\n

In diesem Tutorial m\u00f6chte ich euch fail2ban<\/em><\/strong> <\/a>vorstellen. Es is ein tool, welches Logdateien auf bestimmte Ereignisse hin, wie z.B. failed Logins, untersuchen kann und dann entsprechden mit einem Blocking der Source IP reagieren kann. Dies wird durch das Updaten der Firewall Regeln erreicht.<\/p>\n\n\n\n

Installiert wird fail2ban auf einem Ubuntu System mittels:<\/p>\n\n\n\n

sudo apt install fail2ban<\/code><\/pre>\n\n\n\n
Die Hauptkonfigurationsdatei ist die \/etc\/fail2ban\/jail.conf<\/em><\/strong>. Die Entwickler raten aber davon ab, diese Datei selbst zu editieren. Aus diesem Grund erstelllen wir uns eine Kopie:<\/p>\n\n\n\n
sudo cp \/etc\/fail2ban\/jail.conf \/etc\/fail2ban\/jail.d\/\ncd \/etc\/fail2ban\/jail.d\/\nmv jail.conf jail.local<\/code><\/pre>\n\n\n\n
Es ist \u00fcberaus sinnvoll erfolglose Loginversuche auf den SSH Dienst zu \u00fcberwachen und die Source IP sperren zu lassen. Es k\u00f6nnte sich ja um einen Angreifer handeln, der eine Brute Force Attacke startet.<\/p>\n\n\n\n
Wir editieren also die neu erstellte jail.local und f\u00fcgen als erstes einen allgemeinen Teil ein. In diesem Teil definieren wir die bantime, also wie lange eine IP gesperrt sein soll, den Emailempf\u00e4nger f\u00fcr den Fall, dass ein Alarm rausgehen soll usw.<\/p>\n\n\n\n
[DEFAULT]\nignoreip = 127.0.0.0 192.168.178.11\nbantime  = 86400s\nfindtime  = 120s\ndestemail = test@example.com\nsender = fail2ban@example.com\nsendername = Fail2ban\nmta = sendmail\naction = %(action_mwl)s<\/code><\/pre>\n\n\n\n
Als n\u00e4chstes ist der SSH Dienst an der Reihe der in den eckigen KLammern gesetzte Wert wird auch Jail genannt. Jeder Dienst bekommt sein eigenes Jail:<\/p>\n\n\n\n
[sshd]\nenabled = true\nport = 22\nfilter = sshd\nlogpath = \/var\/log\/auth.log\nmaxretry = 3<\/code><\/pre>\n\n\n\n
F\u00fcr diesen Eintrag bzw. Dienst ist es auch m\u00f6glich, andere Werte f\u00fcr z.B. Findtime, Bantime etc. einzurichten. Diese \u00fcberschreiben dann die Werte aus [DEFAULT]<\/p>\n\n\n\n
Wer sich noch tiefer in die Materie einlesen m\u00f6chte, wir auf Ubuntuusers<\/a> f\u00fcndig.<\/p>\n\n\n\n
Nachdem wir nun unsere \u00c4nderungen durchgef\u00fchrt haben, starten wir den fail2ban Dienst neu:<\/p>\n\n\n\n
sudo systemctl restart fail2ban<\/code><\/pre>\n\n\n\n
Den Status des Dienstes \u00fcberpr\u00fcft man mittels:<\/p>\n\n\n\n
sudo systemctl status fail2ban<\/code><\/pre>\n\n\n\n
\"\"<\/p>\n\n\n\n
Fail2ban bietet die M\u00f6glichkeit zu \u00fcberpr\u00fcfen, wie viele jails gerade aktiv sind, wie viele IPs gesperrt sind usw. Dazu f\u00fchrt folgenden Befehl aus:<\/p>\n\n\n\n
sudo fail2ban-client status<\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n
In meinem Fall sind noch etwas mehr Jails aktiv. Den Status eines einzelnen Jails ruft ihr folgendermassen ab:<\/p>\n\n\n\n
sudo fail2ban-client status sshd<\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Da mein SSH Dienst nicht aus dem Internet erreichbar ist, sind die Eintr\u00e4ge leer.<\/p>\n\n\n\n
Ein weiterer wichtiger Jail w\u00e4re sasl<\/strong><\/em>. Mittels dessen \u00fcber\u00fcfen wir fehlgeschlagene Loginversuche auf unser Mailsystem, sofern wir ein solches im Einsatz haben. Ein Tutorial zum Einrichten eines eigenen Mailsystems findet ihr HIER<\/a>.<\/p>\n\n\n\n
Das Jail f\u00fcr sasl sieht so aus:<\/p>\n\n\n\n
[sasl]\nenabled  = true\nport     = smtp,ssmtp,submission\nfilter   = postfix-sasl\nlogpath  = \/var\/log\/mail.log\nmaxretry = 5<\/code><\/pre>\n\n\n\n
Unter „port“ sind nicht die Nummern aufgef\u00fchrt, sondern deren korrespondierenden Namen lt. \/etc\/services. Das ist reine geschmackssache. Der konfigurierte Filter „postfix-sasl“ existiert noch nicht, daher legen wir ihn an. Jeder Filter bekommt seine eigene Datei unter \/etc\/fail2ban\/filter.d\/<\/em><\/strong><\/p>\n\n\n\n
Wir legen die Datei postfix-sasl.conf an:<\/p>\n\n\n\n
sudo touch postfix-sasl.conf<\/code><\/pre>\n\n\n\n
Der Inhalt sieht wie folgt aus:<\/p>\n\n\n\n
# Fail2Ban filter for postfix-sasl authentication failures\n[INCLUDES]\nbefore = common.conf\n[Definition]\ndaemon = postfix\/smtpd\nfailregex = ^%(__prefix_line)swarning: [-._\\w]+\\[<HOST>\\]: SASL (?:LOGIN|PLAIN|(?:CRAM|DIGEST)-MD5) authentication failed(: [ A-Za-z0-9+\/]*={0,2})?\\s*$<\/code><\/pre>\n\n\n\n
Nachdem dies nun erledigt ist starten wir fail2ban neu:<\/p>\n\n\n\n
sudo systemctl restart fail2ban<\/code><\/pre>\n\n\n\n
<\/p>\n\n\n\n
Ich hoffe dieses kurze Tutorial war f\u00fcr euch n\u00fctzlich. Habt ihr Fragen oder Anregungen, so nutzt gerne die Kommentarfunktion.<\/p>\n","protected":false},"excerpt":{"rendered":"
In diesem Tutorial m\u00f6chte ich euch fail2ban vorstellen. Es is ein tool, welches Logdateien auf bestimmte Ereignisse hin, wie z.B. failed Logins, untersuchen kann und dann entsprechden mit einem Blocking der Source IP reagieren kann. Dies wird durch das Updaten der Firewall Regeln erreicht. Installiert wird fail2ban auf einem Ubuntu System mittels: Die Hauptkonfigurationsdatei ist […]<\/p>\n","protected":false},"author":1,"featured_media":49,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[15,8,17,53],"tags":[80,81,21,29,83,82],"class_list":["post-780","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-anleitung","category-linux","category-security","category-wissen","tag-fail2ban","tag-jail","tag-linux","tag-security","tag-ssh","tag-ubuntu","wpbf-post"],"_links":{"self":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts\/780","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=780"}],"version-history":[{"count":6,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts\/780\/revisions"}],"predecessor-version":[{"id":792,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts\/780\/revisions\/792"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/media\/49"}],"wp:attachment":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=780"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=780"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=780"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}